Puntos clave de la noticia:
- Term Finance perdió aproximadamente $8,5M tras un ataque en el que un actor externo adquirió el control mayoritario de su token de gobernanza.
- El atacante robó 2.843 ETH y 1,68 millones de USDC, equivalentes al 68% de los activos depositados en los Meta Vaults del protocolo.
- El equipo cerró permanentemente el producto afectado, bloqueó nuevos depósitos y eliminó los permisos de gobernanza que permitían modificar los vaults.
La plataforma de préstamos sobre Ethereum Term Finance sufrió pérdidas estimadas en $8,5 millones luego de que un atacante adquiriera suficiente poder de voto para tomar el control de sus Meta Vaults y drenar los fondos depositados en ellas. El incidente fue reportado por el equipo del protocolo.
Según datos en cadena citados por el servicio de monitoreo Defimon, el atacante compró en el mercado abierto una mayoría del token de gobernanza del proyecto, que se encontraba ampliamente disperso y con escasa demanda. Esa posición le otorgó los derechos de voto necesarios para aprobar propuestas que le transfirieron el control operativo de los vaults.
Update: All Term Meta Vaults were shut down and dao governance roles have been revoked. This shutdown is irreversible and permanently prevents further deposits. Withdrawals remain open.
Today's incident involved Term Vault governance. Based on our investigation so far, the… https://t.co/e1jstHfzWd
— Term Labs (@term_labs) August 23, 2026
El resultado fue el retiro de aproximadamente 2.843 ETH —valuados en $6,9 millones al momento del ataque— y 1,68 millones de USDC, lo que representó el robo del 68% de los $12,45 millones que el producto administraba antes del incidente, según DefiLlama.
Term Finance: Cómo Funcionó el Vector de Ataque
El caso plantea una zona gris dentro de la gobernanza descentralizada. Las transacciones ejecutadas fueron válidas bajo el código del protocolo, ya que el atacante utilizó derechos de voto adquiridos de forma legítima en el mercado. Sin embargo, el uso de esos derechos para apoderarse de los activos de los depositantes difícilmente pueda considerarse gobernanza ordinaria. Las autoridades podrían tratar la conducta como un exploit o una apropiación indebida de fondos.
Defimon detected an exploit on Term Finance @term_labs that drained ~$8.5M on Ethereum
Attacker cheaply acquired a majority of a sparsely-held DAO governance token, then passed malicious proposals to seize control of Term's vaults.
Tx #1: https://t.co/CeSu6OJxsP
Tx #2:…— Defimon Alerts (@DefimonAlerts) August 23, 2026
El equipo indicó que el protocolo de Term Finance y sus mercados directos de préstamos y depósitos no resultaron afectados según la investigación en curso. Tras el ataque, el proyecto cerró permanentemente los Meta Vaults, bloqueó nuevos depósitos y eliminó los permisos de gobernanza que permitían hacer modificaciones sobre esas estructuras. Además, confirmó que trabaja con equipos externos de seguridad en la recuperación de activos y evalúa mecanismos para cubrir las pérdidas remanentes.
Los vaults de Term Finance operaban sobre infraestructura Yearn V3. Yearn aclaró que el exploit involucró una capa de gobernanza personalizada construida alrededor de su tecnología y que los vaults estándar de la plataforma no se vieron comprometidos.
Historial de Incidentes Poco Alentador
Este incidente no es el primero que afecta al protocolo. En abril de 2025, un error de oráculo desencadenó liquidaciones no deseadas por aproximadamente 918 ETH. Term Finance recuperó la mayor parte de esos fondos, reembolsó a los usuarios afectados y prometió mayor transparencia en la gobernanza y validación externa para cambios críticos.
Poco más de un año después, la gobernanza misma se convirtió en el punto débil: los activos bajo control de un solo votante resultaron valer considerablemente más que los tokens necesarios para ganar ese voto.
